Générateur pseudo-aléatoire d'openSSL pas si aléatoire...

Posté par  . Modéré par Fabien Penso.
Étiquettes :
0
11
juil.
2001
Sécurité
Un bug vient d'être trouvé sur le générateur de nombre pseudo-aléatoires d'openSSL, pas si aléatoire que ça...
Pas de risques pour l'instant, ce bug semble peu exploitable. Mais soyez méfiants, surveillez les correctifs.
A noter que seul EngardeLinux a sorti un patch pour l'instant.

Aller plus loin

  • # Aléatoire!

    Posté par  . Évalué à 1.

    Justement, le fait que ce soit appellé du PSEUDO aléatoire, cela n'implique-t-il pas que ce n'est pas vraiment aléatoire !
    Non?

    • [^] # Re: Aléatoire!

      Posté par  . Évalué à 1.

      Ben si, c'est pas vraiment aléatoire, par contre, il doit être impossible de deviner quel sera le prochain numéro tiré au sort, et les probabilités de tirage de chaque numéro doivent être identiques, ce qui ne semble donc pas être le cas (j'en sais rien, je ne suis pas allé lire la news en détail).

      • [^] # Re: Aléatoire!

        Posté par  . Évalué à 1.

        si tout les numéros ont la même probabilité de tirage, c'est aléatoire, non ?

        • [^] # Re: Aléatoire!

          Posté par  (site web personnel) . Évalué à 1.

          oui, mais c'est surtout équiprobable.

          Si tu as une pièce "truquée" qui tombe dan 75% des cas sur face et dans 25% des cas restant sur pile (on néglige la proba de tombe sur la tranche ;), quand tu tires à pile-ou-face, c'est aléatoire, i.e. tu ne peux pas prédire avec certitude le côté sur lequel tombera la pièce ... même si tu sens intuitivement que 3 fois sur 4, elle tombera sur face.

          Regarde plutôt la notion "d'entropie" pour comprendre l'importance des biais dans les générateurs pseudo-aléatoire.

        • [^] # Re: Aléatoire!

          Posté par  . Évalué à 1.

          Non. Pas du tout.

          exemple: la suite 1 0 1 0 1 0 1 0 etc...
          tire equiprobablement des 1 et des 0 mais n'a rien d'aléatoire.

          Il n'y a malheureusement aucun test qui permet de dire si une suite est aléatoire.
          Il existe juste quelques critères qui permettent d'infirmer le caractère aléatoire d'une suite de nombres.

      • [^] # Re: Aléatoire!

        Posté par  . Évalué à 1.

        > Justement, le fait que ce soit appellé du PSEUDO aléatoire, cela n'implique-t-il pas que ce n'est pas vraiment aléatoire !

        Reprennons depuis le début : l'ordinateur est une machine déterministe, et par conséquent, il n'y a pas d'aléatoire qui intervient dans tout cela.

        Pour palier à ce manque, on utilise des astuces pour générer des series de nombres qui sont difficilement prévisibles (c'est pour cela qu'on dit "pseudo-aleatoire") basées sur l'heure (c'est pas bon, ça, comme méthode) ou sur des séries particulières dites justement pseudo-aléatoires... Mais ce sont des séries donc elles sont régies par un modèle. Elles sont donc seulement apparament aléatoires...

    • [^] # Re: Aléatoire!

      Posté par  . Évalué à 1.

      si, effectivement, mais dans certaines limites...
      le pseudo-aléatoire simule de l'aléatoire.
      Mais quand le pseudo-aléatoire est prévisible au delà d'un certain seuil, c'est gênant ! (par exemple de l'aléatoire binaire, avec une proba de 0,5 de trouver juste...)

      • [^] # Re: Aléatoire!

        Posté par  . Évalué à 1.

        non c'est l'inverse... c'est si tu n'as PAS une proba de 0,5 de tomber juste que c'est genant.

      • [^] # Re: Aléatoire <> Imprévisible

        Posté par  . Évalué à 1.

        Ne pas confondre aléatoire et imprévisible !

        Les décimales de pi sont aléatoirement distribuées
        mais elles sont prévisibles

        Un générateur de bits du genre BBS (Blum Blum Shub)
        est imprévisible à gauche et à droite, mais les
        bits générés ne sont pas aléatoires puisqu'ils dépendent
        de la valeur d'initialisation et sont donc parfaitement
        reproductibles (bien sûr, cette l'imprévisibilité
        repose sur la conjecture de la NP complétude de la
        factorisation)

  • # rand() n'est jammais vraiment aléatoire

    Posté par  (site web personnel) . Évalué à 1.

    c'est pour cela que pour certains systems (loteries de la française des jeux, ect...)
    on utilise une carte qui genere un nombre aléatoire,
    les prix commencent vers 4000 Francs, par contre ne me demandez pas comment la carte (avec des elements physiques...) genere des nombres aleatoires.

    quand vous avez l'impression que votre ordinateur vous donne des plusieurs fois des suites de chiffres, ou que vous vous sentez capable de prédire le prochain resultat avec un tres grand nombre de chances qu'il tombe (par rapport a la theorie) ne soyez pas etonnés :)

    [moua]

    • [^] # Re: rand() n'est jammais vraiment aléatoire

      Posté par  . Évalué à 1.

      un ampli op monté en amplificateur avec ses entrées en l'air fournit un signal convenablement aléaoire( je crois). Il suffit de le numérisé avec une carte son, et le tour est joué.

      • [^] # Re: rand() n'est jammais vraiment aléatoire

        Posté par  . Évalué à 0.

        Oui car cela vient des parasistes de l'air ambiant
        qui influe sur l'entré de l'ampli op qui n'a aucun potentiel voltaique imposé!
        l'entré est une sorte d'antenne a parasite!

      • [^] # Re: rand() n'est jammais vraiment aléatoire

        Posté par  . Évalué à 1.

        Oui. Une autre solution est d'enregistrer les
        gresillements d'un compteur geiger à proximité
        d'une source radioactive :-)

        En gros, seul certains phénomènes physiques sont
        réellement aléatoires.

        J'ai entendu dire que les Pentium III avait un
        capteur de variation de température de surface
        couplé à une instruction spécifique du CPU et que
        le résultat est vraiment aléatoire...à suivre

    • [^] # Re: rand() n'est jammais vraiment aléatoire

      Posté par  . Évalué à -1.

      "certains systems (loteries de la française des jeux"
      Je croyais que c'etait des boules qui tombent ?

      hop, -1, tu l'as pas vole !

    • [^] # Re: rand() n'est jammais vraiment aléatoire

      Posté par  . Évalué à 0.

      Vous n'avez pas vu l'émission "Capital" qui causait des jeux d'argent ? Il y avait un reportage sur les tricheurs dans les Casinos.
      Dans un jeu ou il faut deviner une suite de chiffres tirée au hasard par un ordinateur (muni d'une carte de génération de nombre aléatoires), un tricheur a été découvert car il avait trouvé la bonne suite et du premier coup (statistiquement impossible et ne c'était jamais produit avant dans aucun Casino). Il avait utilisé un logiciel de statistiques pour analyser les suites de nombres générées .... pas si aléatoire que ca !!

      PLuG

      • [^] # Re: rand() n'est jammais vraiment aléatoire

        Posté par  (site web personnel) . Évalué à 1.

        Non le type avais modifié les cartes de jeux (c'est lui qui les fabriquait), et pouvait connaitre par decoulement simple la nouvelle suite qui allait sortir.

        mais lors du reportage j'ai quand meme pensé aux cartes qui generes un site aléatoire, et de l'articlle d'un ancien science & vie la dessus.

        [moua]

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.